一种基于Kubernetes构建的容器云安全防护方法与系统技术方案

本发明专利技术公开了一种基于Kubernetes构建的容器云安全防护方法与系统，方法包括：在Kubernetes容器云中加入安全防护系统，当客户端访问容器云上的微服务，防护系统首先对请求进行传输层第一次流量清洗；然后转发到应用层防护系统进行第二次流量清洗，并将清洗后的流量转发至相应的微服务；同时收集所有访问日志，然后通过对日志的智能分析，识别异常访问行为和攻击源，生成防护策略，下发到防护子系统，拦截攻击，完成第三次流量清洗。本发明专利技术实现了：1)IP层、传输层、应用层的纵深防护体系；2)防护策略的智能生成、下发以及与防护系统的联动；3)安全组件的容器化，具有部署快、易扩展、易运维等优势。本发明专利技术适用于Kubernetes容器云上的微服务的安全防护。

A Container Cloud Security Protection Method and System Based on Kubernetes

The invention discloses a container cloud security protection method and system based on Kubernetes. The method includes: adding a security protection system into the Kubernetes container cloud, when the client accesses the micro-service on the container cloud, the protection system first cleans the first flow of the transmission layer for the request, then forwards the request to the application layer protection system for the second flow cleaning, and after cleaning. Traffic is forwarded to the corresponding micro-service, and all access logs are collected at the same time. Then, through intelligent analysis of logs, anomalous access behavior and attack sources are identified, protection strategies are generated, and sent to the protection subsystem to intercept attacks and complete the third traffic cleaning. The invention realizes: 1) deep Protection System of IP layer, transmission layer and application layer; 2) intelligent generation, downward transmission of protection strategy and linkage with protection system; 3) container of security components, which has advantages of fast deployment, easy expansion, easy operation and maintenance. The invention is applicable to the security protection of micro services on Kubernetes container cloud.

【技术实现步骤摘要】
一种基于Kubernetes构建的容器云安全防护方法与系统
本专利技术属于网络安全
，具体涉及基于Kubernetes构建的容器云的安全防护方法与系统。
技术介绍
基于Kubernetes构建的容器云，系统本身提供了三种认证方式：CA认证，Token认证和Base认证来保护系统本身不被攻击，保证了系统组件的安全，但针对于容器云中部署的微服务的防护并没有起到作用，如果攻击只针对其中的一个或这多个微服务发起流量攻击，或者其他渗透攻击，Kubernetes集群现有的安全技术手段，无法监测出并拦截到攻击，攻击者很容易就绕过现有的安全策略，来对系统进行各种攻击，使集群服务瘫痪，无法提供正常的微服务，这一点也是Kubernetes构建的容器云不足的地方。随着Kubernetes的流行，以及容器化，微服务化的趋势的发展，提供安全可靠的容器云平台是必须考虑的问题，增强Kubernetes的自身系统针对微服务方面的安全防护能力是本专利技术的目的。
技术实现思路
为了解决上述现有技术存在的问题，本专利技术提出了一种针对Kubernetes构建的容器云的安全防护方法与系统，包括如下：接收客户端发起的，访问基于Kubernetes构建的微服务的请求，首先对该请求进行传输层防护系统第一次流量清洗。其中，所述的客户端请求，包含攻击正常访问请求，和攻击，异常流量请求。所述的进行传输层防护系统，即针对TCP/UDP传输协议的安全防护，基于报文的特征，访问行为，有效识别synflood,udpflood,ackflood等常见流量型攻击，并进行有效拦截，清洗掉攻击流量，实现传输层的流量清洗，得到传输层清洗后的流量。所述的传输层防护系统包含四层负载均衡的能力，确保流量可以正确负载到下一层的清洗系统；同时还包括：IP黑白名单模块，即直接封禁攻击IP，或加白某IP；域名+IP黑白名单，即直接封禁访问某域名的IP，或开放访问某域名的IP访问；域名+IP地域访问控制黑白名单，即直接封禁某区域访问某个域名的IP，或开放某某地区域名的访问；IP限速，即限制某IP的访问速率；以及基于TCP/UDP协议特征攻击检测模块，自定义协议特征以及配置更新模块。将第一次清洗后的流量转发到应用层防护系统，进行第二次流量清洗。所述的应用层流量清洗子系统，用于接收传输层清洗子系统过滤后的流量，并实现应用层攻击检测，根据协议，匹配规则库中的规则，如果是直接丢弃，同时将请求的来源IP等信息，加入黑名单，并记录访问日志；如果不是，则转发到后端真实的微服务地址。所述的规则库，维护着常见的基于协议的攻击请求定义的规则，匹配每一次应用层协议请求，来判断是否是攻击行为，也可设置白名单机制来跳过监测，提高转发效率。非攻击行为，通过反向代理的方式找到Kubernetes启动的微服务，完成正常的业务交互。同时该系统对微服务的存活具有监控，自动更新配置。防护系统转发请求到相应的微服务地址，同时收集所有容器化微服务的访问日志，从访问日志这个纬度，来增强系统攻击可追溯性，方便故障排除，和后续的攻击检测。所述的访问日志，是所有容器化的微服务产生的请求日志，该过程完成用户的正常请求交互的同时，得到访问日志数据；同时，也包含前面传输层清洗子系统和应用层清洗子系统拦截的访问日志。智能解析微服务访问日志，识别异常的访问行为，识别攻击源，然后生成防护策略，下发到传输层防护系统，拦截攻击源，完成第三次流量清洗。第三次流量清洗的目的是，识别出前面传输层流量清洗子系统和应用层流量清洗子系统根据自身的监测攻击策略无法拦截的流量，此流量可能没有明显的攻击特征，无法命中提前设置的规则，增加了一个纬度来识别攻击。所述的日志智能解析，会根据访问日志的时间，地理位置，访问频率，报文等多纬度，识别攻击，生成相应的拦截策略，对重复出现的攻击源，拦截策略等级逐渐升高。同时将拦截策略自动下发到传输层防护系统，后续的攻击直接在传输层系统拦截。本专利技术相比现有技术，具有以下优点：弥补了Kubernetes构建的容器云的防护能力的不足，抵御了针对容器化的微服务的网络攻击，纵深，多层次的流量清洗，提升了系统的安全，具体包括：1)构建了IP层、传输层、应用层的纵深防护体系；2)根据访问日志，智能生成防护策略、自动下发，攻击告警，与防护系统的联动；3)安全组件的容器化，具有部署快、易扩展、易运维等优势。附图说明图1为本专利技术一实施例提供的一种基于Kubernetes构建的容器云安全防护方法与系统的流程示意图。图2为本专利技术一实施例提供的一种基于Kubernetes构建的容器云安全防护方法与系统的交互示意图。具体实施方式下面结合附图，对本专利技术的具体实施方式作进一步描述。以下实施例仅用于更加清楚地说明本专利技术的技术方案，而不能以此来限制本专利技术的保护范围。本专利技术的范围仅由权利要求书限定，并且本专利技术涵盖诸多替代、修改和等同物。在下文描述中阐述诸多具体细节以便提供对本专利技术的透彻理解。出于示例的目的而提供这些细节，并且无这些具体细节中的一些或者所有细节也可以根据权利要求书实现本专利技术。图1为本专利技术一实施例提供的一种基于Kubernetes构建的容器云安全防护方法与系统的流程示意图，包括：S101、接收客户端发起的，访问基于Kubernetes构建的微服务的请求，首先对该请求进行传输层防护系统第一次流量清洗。其中，所述的客户端请求，包含攻击正常访问请求，和攻击，异常流量请求。所述的进行传输层防护系统，即针对TCP/UDP传输协议的安全防护，基于报文的特征，访问行为，有效识别synflood,udpflood,ackflood等常见流量型攻击，并进行有效拦截，清洗掉攻击流量，实现传输层的流量清洗，得到传输层清洗后的流量。S102、将第一次清洗后的流量转发到应用层防护系统，进行第二次流量清洗。其中，所述应用层防护系统，即针对应用层的协议，首先通过自定义规则的匹配，系统需要维护一个规则库，来识别非法攻击请求，如针对http协议的sql注入攻击，命中规则后实现拦截，并将请求的来源IP等信息，加入黑名单，实现流量的的应用层流量清洗，获得应用层清洗后的流量。S103、将第二次清洗后的流量，解析出清洗后的流量的目的微服务地址，转发请求到相应的微服务地址，同时收集所有Kubernetes集群下的访问日志。所述的Kubernetes集群访问日志，是所有容器化的服务产生的，请求日志，包括S101，S102清洗系统产生的日志。该过程完成用户的正常请求交互的同时，得到访问日志数据。S104、智能解析微服务访问日志，识别异常的访问行为，识别攻击源，然后生成防护策略，下发到传输层防护系统，拦截攻击源，完成第三次流量清洗。图2为本专利技术一实施例提供的一种基于Kubernetes构建的容器云安全防护方法与系统的交互示意图，包括：客户端发起微服务的请求，其中包含正常的容器云中微服务的请求，也包含非法的攻击请求。其中，此实施例，基于Kubernetes架构的的容器云，只暴漏80端口提供服务，使用同一个域名，通过不同的URL来区分不同的微服务，减少了系统端口的暴漏，增强系统安全，降低运维成本，减少访问控制的策略。所述的kube-sec，作为本专利技术的核心系统组件，作为Kubernetes集群的一部分，主本文档来自技高网...

【技术保护点】
1.一种基于Kubernetes构建的容器云安全防护方法与系统，其特征在于包括：在Kubernetes构建容器云集群的同时，本专利技术作为容器化的系统组件，部署在Kubernetes系统中，作为系统业务流量入口，起到安全防护的作用，系统具体包含：传输层流量清洗子系统，用于接收客户端的第一访问请求，判断是不是攻击流量，要求扩展Linux内核，类似syn‑proxy这样的机制，拦截包括常见的传输层流量型攻击，synflood,udp flood等；如果检测为攻击，直接丢弃，并记录访问日志，用于数据分析和可视化展示；如果不是，则转发到应用层流量清洗子系统；应用层流量清洗子系统，用于接收传输层清洗子系统过滤后的流量，并实现应用层攻击检测，根据协议，匹配规则库中的规则，如果符合攻击特征，直接丢弃，并记录访问日志，用于数据分析和可视化展示；如果不是，则转发到后端容器云中真实的微服务地址；容器云日志收集子系统，用于收集Kubernetes集群中所有微服务容器所产生的访问日志，集成高可用的存储系统，缓存系统确保数据正常及时写入，过滤掉重复，或没有价值的日志，用于日志解析子系统；智能日志解析子系统，用于智能分析访问日志，获取攻击行为的访问，然后智能生成安全防护策略，并下发给清洗子系统，持续增强防护策略，进行再次的流量清洗；以上所述的多层流量清洗，构建了一套纵深的防护体系，实现了防御的联动，和防护策略的生成和下发，系统自身防护能力可持续性增强。...

【技术特征摘要】
1.一种基于Kubernetes构建的容器云安全防护方法与系统，其特征在于包括：在Kubernetes构建容器云集群的同时，本发明作为容器化的系统组件，部署在Kubernetes系统中，作为系统业务流量入口，起到安全防护的作用，系统具体包含：传输层流量清洗子系统，用于接收客户端的第一访问请求，判断是不是攻击流量，要求扩展Linux内核，类似syn-proxy这样的机制，拦截包括常见的传输层流量型攻击，synflood,udpflood等；如果检测为攻击，直接丢弃，并记录访问日志，用于数据分析和可视化展示；如果不是，则转发到应用层流量清洗子系统；应用层流量清洗子系统，用于接收传输层清洗子系统过滤后的流量，并实现应用层攻击检测，根据协议，匹配规则库中的规则，如果符合攻击特征，直接丢弃，并记录访问日志，用于数据分析和可视化展示；如果不是，则转发到后端容器云中真实的微服务地址；容器云日志收集子系统，用于收集Kubernetes集群中所有微服务容器所产生的访问日志，集成高可用的存储系统，缓存系统确保数据正常及时写入，过滤掉重复，或没有价值的日志，用于日志解析子系统；智能日志解析子系统，用于智能分析访问日志，获取攻击行为的访问，然后智能生成安全防护策略，并下发给清洗子系统，持续增强防护策略，进行再次的流量清洗；以上所述的多层流量清洗，构建了一套纵深的防护体系，实现了防御的联动，和防护策略的生成和下发，系统自身防护能力可持续性增强。2.根据权利要求1所述的方法，其特征在于，所述的传输层流量清洗子系统，在传输层拦截攻击流量，进一步包括：提供四层负载均衡的能力，同时还包括：基于IP的黑白名单模块，基于域名+IP的黑白名单模块，基于IP+域名的地域访问控制黑白名单模块，基于IP的限速模块，以及基于TCP/UDP协议特征攻击检测模块，自定义协议特征以及配置...

【专利技术属性】
技术研发人员：关键，李斌，
申请(专利权)人：李斌，
类型：发明
国别省市：上海,31